मैं इस पोस्ट में कहानी कहने के दृष्टिकोण के बारे में थोड़ी बात करना चाहूंगा। वर्णित सभी चीजों में वास्तविक मामले हैं जो मेरे व्यक्तिगत अभ्यास से आए हैं, अधिकांश भाग के लिए ये लोकप्रिय परियोजनाएं हैं, इसलिए मैं उन्हें पाठ में उल्लेख करूंगा। मुख्य बात मैं आपका ध्यान आकर्षित करना चाहूंगा कि यह लेख सूचना सुरक्षा विशेषज्ञों के लिए दिलचस्प नहीं लग सकता है, क्योंकि इसमें कोई नया अटैक वैक्टर और सुपर कूल एप्रोच नहीं है। सभी जानकारी डेवलपर्स और परियोजना प्रबंधकों पर केंद्रित है।
ऑडिट आदेशों का संचालन करते समय, लक्ष्य हमलावर के न्यूनतम कार्यों और ज्ञान के साथ अधिकतम नुकसान का विश्लेषण करना है। जैसा कि सॉफ्टवेयर उत्पादन की कठोर परिस्थितियों में अभ्यास से पता चलता है, इस तरह की बारीकियों को परियोजनाओं की इकाइयों द्वारा सोचा जाता है।



लोकप्रिय समस्याओं में से एक पासवर्ड वसूली और उपयोगकर्ता खातों तक पहुंच प्राप्त करना है। अब शायद एक भी साइट नहीं है जहाँ पासवर्ड रिकवरी फ़ंक्शन नहीं है। मैंने उनमें से प्रत्येक पर विचार करने के लिए उन्हें कई प्रकारों में विभाजित किया है:

• सुरक्षा प्रश्न - उत्तर
• अद्वितीय ईमेल लिंक
• ईमेल द्वारा एक नया / मान्य पासवर्ड भेजना
• एसएमएस ओटीपी (वन-टाइम पासवर्ड)

बेशक, यह एक बड़े हिमखंड का ही हिस्सा है। अन्य दृष्टिकोणों में समस्याएं हैं, उदाहरण के लिए, OAuth, लेकिन इस बारे में बहुत कुछ लिखा गया है और अभी भी तकनीकी बारीकियां हैं, और मुझे व्यावसायिक तर्क में अधिक रुचि है।

और इसलिए, ऊपर दिए गए प्रत्येक बिंदु की कमजोरियों पर विचार करें।

सुरक्षा प्रश्न - उत्तर

इस दृष्टिकोण का एक गंभीर चूक सबसे अधिक बार अपने स्वयं के प्रश्न पूछने की क्षमता की कमी है, और सही उत्तर दर्ज करने के बाद, एक नया पासवर्ड के साथ एक फॉर्म जारी करना।
परिचालन जानकारी के अनुसार, यह पाया गया कि यह हमला पश्चिमीयूनिअन पर किया गया था और इस समारोह की सुरक्षा के बारे में गंभीरता से सोचने का कारण दिया, साथ ही इसे अस्थायी रूप से सीमित कर दिया। सेवा का विश्लेषण करने के बाद, यह पाया गया कि उपयोगकर्ता को 3 प्रश्नों का विकल्प दिया गया था: पालतू का नाम, गृहनगर और माता का नाम। सोशल इंजीनियरिंग के माध्यम से दर्जनों उपयोगकर्ताओं के लिए इन सवालों के जवाब प्राप्त करना मुश्किल नहीं था। सोशल नेटवर्क फेसबुक, ट्विटर, एलजे और अन्य बचाव में आए।
सोशल इंजीनियरिंग के अलावा, एक अधिक तकनीकी संभावना भी थी, अपने गृहनगर और छोटे नामों के पालतू जानवरों के नाम के जवाब के साथ विकल्पों का चयन करना संभव था। इस हमले को एक अतिरिक्त कैप्चा क्षेत्र द्वारा रोका जा सकता था, जिसे बाद में किया गया था। इस प्रकार, पासवर्ड रिकवरी कार्यक्षमता में सामान्य दोष के कारण, हमलावर समझौतावादी उपयोगकर्ताओं के प्रोफाइल से बढ़ी हुई सीमा के साथ WU अनुवाद फ़ंक्शन तक पहुंच प्राप्त करने में सक्षम थे। जिस डेटाबेस पर उपयोगकर्ताओं ने काम किया (लॉगिन और ईमेल) एक अन्य स्रोत से प्राप्त किया गया था, अधिक बैंल एसक्यूएल इंजेक्शन भेद्यता के माध्यम से, हैक किए गए साइट के मुख्य पृष्ठ पर एक दुर्भावनापूर्ण कोड भी रखा गया था।

निष्कर्ष:

• बिना सीमा के, आपके सुरक्षा प्रश्न पूछने की क्षमता है।
• सही उत्तर दर्ज करने के लिए, प्रति यूनिट समय प्रयासों की संख्या पर सीमा, उदाहरण के लिए, प्रति घंटे 10 प्रयास

अद्वितीय ईमेल लिंक

उन ग्राहकों में से एक से एक दिलचस्प कहानी हुई जिन्होंने मदद मांगी। एक लोकप्रिय स्टार्टअप एक्सचेंज NaPartner के उपयोगकर्ताओं में पासवर्ड परिवर्तन के बारे में बड़े पैमाने पर शिकायतें सक्रिय रूप से प्राप्त होने लगीं। पासवर्ड को पुनर्प्राप्त करने के लिए सभी चरणों का विश्लेषण करने के बाद, एकमात्र स्थान जहां समस्या को md5 के साथ केवल 1 पैरामीटर के साथ एक अद्वितीय लिंक माना जा सकता है। इस md5 कोड के आधार के माध्यम से चलने के बाद, परिणाम बहुत जल्दी प्राप्त हुआ और यह फॉर्म md5 (1234) का 4-अंकीय डिजिटल कोड निकला। कुछ ही मिनटों के बाद, एक तैयार किया गया परीक्षण उपकरण प्राप्त हुआ, जिसने उपयोगकर्ता के लॉगिन को स्वीकार कर लिया, पासवर्ड रिकवरी के लिए एक अनुरोध भेजा और कुछ ही सेकंड में एक दर्जन धाराओं में इस अद्वितीय हैश को उठाया, जिसके बाद, एक अद्वितीय लिंक का उपयोग करके एक फॉर्म के माध्यम से, अपना पासवर्ड 12345 सेट करें। समस्या अधिक जटिल प्रारंभिक वाले के साथ हल हुई थी हैशिंग के लिए डेटा। इसी तरह की समस्या अन्य ग्राहकों के साथ बार-बार देखी गई है।
यह कई बातों पर ध्यान देने योग्य है:

• अद्वितीय लिंक एक बार होना चाहिए और पासवर्ड बदलने या उपयोगकर्ता को अधिकृत करने के बाद निष्क्रिय हो जाना चाहिए
• कोड दर्ज करने के प्रयासों की संख्या पर एक सीमा होनी चाहिए, 5 पर्याप्त है

ईमेल द्वारा एक नया / मान्य पासवर्ड भेजना

शायद यह सबसे आम है और उपयोगकर्ता खाते तक पहुंच प्राप्त करने के लिए अधिक जटिल दृष्टिकोण रखता है।
यह कुछ सिफारिशों पर ध्यान देने योग्य है:

• उपयोगकर्ता के पासवर्ड को कभी भी स्पष्ट पाठ में संग्रहीत न करें और विशेष रूप से इसे ईमेल द्वारा भेजने की आवश्यकता नहीं है
• उपयोगकर्ता को एक अद्वितीय लिंक के साथ इसे बदलने की पुष्टि किए बिना कभी भी नया / अस्थायी पासवर्ड न भेजें
• कभी भी नया / अस्थायी सरल और छोटा पासवर्ड न बनाएं

दुर्भाग्य से, पैराग्राफ 2 और 3 एक साथ बहुत आम हैं, जो हमलावरों के लिए निम्नलिखित एल्गोरिथ्म को जन्म देता है: एक पासवर्ड रिकवरी अनुरोध, एक नया निश्चित पासवर्ड प्राप्त करने वाला उपयोगकर्ता जो 5 वर्णों की निश्चित लंबाई या केवल निश्चित-लंबाई अंकों के साथ उत्पन्न होता है। इस पासवर्ड का आगे चयन।

बोनस: एक लोकप्रिय ऑनलाइन गेम में, गढ़ राज्यों में लॉगिन क्षेत्र (उर्फ ईमेल) पर पासवर्ड रिकवरी / पंजीकरण के रूपों में एक एकल वर्ग-इंजेक्शन था, डेटाबेस में इस रिकॉर्ड के अस्तित्व की जांच करने का एक अजाक्स अनुरोध था। इसी तरह की जांच अलग-अलग साइटों पर भी अक्सर पाई जाती है और मैं इसके संचालन की संभावनाओं का वर्णन करना चाहूंगा, भले ही कोई वर्गीय न हो। आमतौर पर यह उपयोगकर्ता डेटाबेस का हिस्सा होता है: वे ईमेल पते के बड़े डेटाबेस लेते हैं और उन्हें साइट पर चलाते हैं। और फिर वे उपयोगकर्ता नाम / पासवर्ड का चयन करने के लिए पाए गए का उपयोग करते हैं। यह आपको बहुत अजीब और संभावना नहीं लग सकता है, लेकिन अगर धन या उत्साह दांव पर है (या शायद दोनों), तो अविश्वसनीय कुछ भी नहीं है। यह भी ध्यान देने योग्य है कि पासवर्ड को पुनर्प्राप्त करते समय ऐसा होता है जब वह उपयोगकर्ता लॉगिन के लिए पूछता है, और फिर एक संदेश देता है कि किस ईमेल को पासवर्ड भेजा गया था, जो इस मेल तक पहुंच प्राप्त करने के लिए एक कारण के रूप में भी काम कर सकता है। ईमेल भाग को तारांकन के साथ छिपाना सुनिश्चित करें।

एसएमएस ओटीपी (वन-टाइम पासवर्ड)

चूँकि पिछला पैराग्राफ बहुत बोरिंग था और केओ द्वारा चबाया गया था, इसलिए मैं अंतिम पैराग्राफ का उपयोग करके एक और दिलचस्प और कम आम समस्या को लेने का प्रस्ताव करता हूं, विशेष रूप से अस्थायी एसएमएस कोड के साथ, क्योंकि इस एसएमएस कोड को न केवल दरकिनार किया जा सकता है, बल्कि साइट के मालिक को भी बाहर कर सकते हैं। ।
ऑडिट के आदेशों में से एक यूक्रेनी कंपनी थी, इसका नाम एनडीए के संबंध में एक रहस्य बना हुआ है। यह एक वित्तीय सेवा है जो लगभग हर कार्य के लिए एसएमएस ओटीपी से कट्टरता से जुड़ी हुई है। यह मुझे बहुत गुस्सा आया जब परीक्षण, क्योंकि मुझे मोबाइल के साथ आलिंगन में बैठना पड़ा और हर बार इन कोड को दर्ज करना पड़ा। लेकिन जैसा कि बाद में पता चला, प्राधिकरण के बाद, प्रोफ़ाइल में एसएमएस पासवर्ड को नियमित पासवर्ड में बदलना संभव था। और फिर यह मुझे उपयोगकर्ता खातों तक पहुंच प्राप्त करने के लिए आधार के रूप में एसएमएस ओटीपी लेने का एक बड़ा मौका लग रहा था। Sms द्वारा आने वाला कोड हमेशा 6 अंकों का होता है और यहां md5 (1234) का उल्लेख करना असंभव नहीं है, जिसे हमने ऊपर माना था। हां, मेरा तर्क वही था। सबसे पहले, मैंने कोड दर्ज करने के प्रयासों की संख्या की जांच की और वे असीमित हो गए, यह एक समय की बात थी, एसएमएस ओटीपी का चयन करने के लिए एक कार्यशील प्रोटोटाइप लिखना और मेरे पासवर्ड प्रोफ़ाइल में 12345 स्थापित करने का अनुरोध भेजना।
इस प्रकार, परीक्षण उपयोगकर्ता तक पहुंचना और उससे शेष राशि से धन की निकासी करना संभव था।
मैं वहाँ नहीं रुका, परीक्षण के दौरान, मैंने अपने आप को फोन पर बहुत सारे पाठ संदेश भेजे और लागतों की गणना करने का निर्णय लिया:
1 एसएमएस = 0.30 kopecks * इस ग्राहक के लिए एसएमएस की वास्तविक लागत
10 थ्रेड्स में चलने वाली स्क्रिप्ट प्रति सेकंड न्यूनतम 1 अनुरोध भेजती है, यानी प्रति सेकंड 10 अनुरोध।
कुल मिलाकर, स्क्रिप्ट के 24 घंटों में हम 10 * 60 * 60 * 24 = 864,000 एसएमएस भेज सकते हैं, जिसमें ग्राहक को 259,200 रूसी रूबल (> $ 8,000) खर्च होंगे।
निष्कर्ष: एक लॉगिन के लिए एसएमएस भेजने और ओटीपी की जांच करने के प्रयासों की संख्या पर प्रतिबंध का उपयोग करें।

एक अलग आइटम के रूप में, मैं प्रतिबंध के बिना एसएमएस के माध्यम से किसी भी जानकारी के भेजने पर ध्यान देना चाहता हूं, उदाहरण के लिए, समाचार पत्र को एसएमएस सदस्यता, जब केवल फोन नंबर दर्ज किया जाता है। या पंजीकरण के बाद, एसएमएस सक्रियण कोड।
साइबर अपराधियों के लिए, यह एक सोने की खान है, इस कार्यक्षमता का उपयोग फोन को बाढ़ने, अपने अनुरोधों को स्वचालित करने और पीड़ितों की संख्याओं को दर्ज करने के लिए किया जाता है, फिर इसे अपने एसएमएस से कोड या संदेश के साथ समाचारों के सफल हस्ताक्षर के लिए भरें।

मैं पासवर्ड रिकवरी के बारे में इसे समाप्त करना चाहूंगा। केवल एक चीज जो मैं जोड़ना चाहूंगा वह यह है कि इस तरह की भेद्यता, बड़ी संख्या में पासवर्ड और हैश की अपर्याप्त जटिलता की तरह, हमें घेर लेती है। आखिरी ऐसा उदाहरण CITILINK कंपनी है जिसमें डिस्काउंट कार्ड केवल उन खरीदारों के लिए जारी किए जाते हैं जिन्होंने 5000 रूबल से एक बार भुगतान किया था। कार्ड अपने आप में बहुत उपयोगी है और आपको बचाने की अनुमति देता है। लेकिन तकनीकी रूप से, कार्ड एक साधारण 6-अंकीय संख्या + 4-अंकीय सक्रियण कोड है जिसमें इस कोड का चयन करने के लिए असीमित प्रयास किए जाते हैं।
यह स्काइप के साथ हाल की घटना को भी ध्यान देने योग्य है, जब पासवर्ड रिकवरी त्रुटि के साथ किसी और के खाते तक पहुंच प्राप्त करना संभव था।

जब आप इस दिशा में काम करते हैं और हर बार जब आप विभिन्न घोटालों का अध्ययन करते हैं, तो कभी-कभी आप आश्चर्यचकित होते हैं कि आप ऐसा कैसे सोच सकते हैं। आप बहुत सी स्पष्ट बातें कहते हैं, लेकिन ये सभी स्पष्ट चीजें केवल उन पर ध्यान देने के बाद बन जाती हैं, और आम तौर पर अपराधियों द्वारा अपराध करने के बाद ऐसा होता है।

बहुत बार वे मुझसे एक सवाल पूछते हैं, और ऐसी कमियों के लिए कौन से कर्मचारी जिम्मेदार होने चाहिए? और मैं वास्तव में कहना चाहता हूं कि हर कोई दोष देने के लिए थोड़ा है। लेकिन जब मैं इन चीजों को एक सूचना सुरक्षा विशेषज्ञ के रूप में नहीं देखता, समाचारों और लेखों का एक समूह पढ़ता हूं, विषयगत मंचों की निगरानी करता हूं और सभी धोखाधड़ी योजनाओं में देरी करता हूं, लेकिन एक साधारण व्यक्ति के रूप में यह सब जानकारी के बिना, मैं खुद को खींचता हूं और यह सोचना बंद कर देता हूं कि केवल एक व्यक्ति उसके सिर में यह सब घृणित घृणा इन सभी बारीकियों पर अग्रिम रूप से सोचने में सक्षम होगी और कार्रवाई की जटिलता केवल उसकी परिष्कृत कल्पना पर निर्भर करेगी। :)

इस पर मैंने पहला भाग समाप्त घोषित किया। यदि आप इस लेख में दृष्टिकोण पसंद करते हैं, तो मैं लिखना जारी रखूंगा। ऐसे कई उदाहरण हैं जिन्हें मैंने विभिन्न विषयों पर बिखेरा है।